CVE-2026-114610 in fpdf2
Riassunto
di VulDB • 22/10/2026
fpdf2 è una libreria Python per la creazione di PDF. Dalla versione 2.5.0 alla 2.8.8, il metodo SVGObject.build_xref() di fpdf2 passa riferimenti SVG nidificati a GraphicsContext.add_item(), il cui comportamento predefinito di deep-copy (clone=True) copia l'intero albero grafico referenziato durante l'elaborazione di FPDF.image(). La ripetizione dei riferimenti ad ogni livello di nidificazione fa crescere in modo esponziale il conteggio degli oggetti in memoria e il carico di elaborazione, consentendo a un SVG piccolo controllato dall'utente di consumare CPU e memoria eccessive, generare MemoryError, far fallire i job di generazione del PDF e ridurre o esaurire la capacità dei worker. La ResourceAccessPolicy non previene l'inconveniente poiché i riferimenti sono inline e non richiedono risorse esterne, entità XML, file locali o impostazioni di rete permissive. Questo problema è stato risolto nella versione 2.8.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.